 Tiến sĩ Vũ Quốc Khánh Giám đốc VNCERT cho rằng, việc phòng chống tội phạm công nghệ cao của Việt Nam hiện đã được sự quan tâm đầu tư song vẫn còn gặp phải nhiều khó khăn trong đó có vấn đề nhận thức của người dùng cũng như của cơ sở còn yếu.
Đúng 9h sáng nay, 25/7, cuộc đối thoại với chủ đề “Phòng chống tội phạm công nghệ cao” đã được thực hiện với các vị khách mời là ông Vũ Quốc Khánh Giám đốc Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam (VNCERT) và ông Nguyễn Thế Thịnh, Trưởng phòng An ninh hệ thống, Ngân hàng Công Thương Việt Nam (VietinBank).
Thời đại Internet hiện nay, từ những việc rất nhỏ như mất nick chat Yahoo, mất mật khẩu email, bị hack trang blog... cho đến những chuyện lớn hơn như bị "cướp" tài khoản ngân hàng, tài khoản chứng khoán... đã và đang diễn ra "như cơm bữa", khiến người ta phải nghĩ tới việc “sống chung với lũ” và tìm những biện pháp tự bảo vệ mình và doanh nghiệp.
Có thể chúng ta hoặc trực tiếp phải đối mặt hoặc nghe qua lời kể của bạn bè, đồng nghiệp. Đối tượng thực hiện hành vi đó, xét về mặt quản lý an ninh mạng, đều được gọi chung là "tội phạm công nghệ cao".
Buổi đối thoại được tường thuật trực tiếp trên kênh VTC2 Đài Truyền hình Kỹ thuật số VTC, đồng thời tiến hành trực tuyến trên các Báo điện tử VnMedia, ICTnews, VTC News, VietNamNet và website của của Bộ Thông tin & Truyền thông (mic.gov.vn) xoay quanh chủ đề này.
Dưới đây là nội dung của cuộc giao lưu trực tuyến với hai khách mời.
- Thưa ông, nguy hiểm nhất trong các dạng tội phạm sử dụng Công nghệ cao là loại tội phạm nào?
Tiến sĩ Vũ Quốc Khánh: Ở các quốc gia tiên tiến về CNTT, hiện nay tội phạm khủng bố là nguy hiểm nhất, đang hoạt động dựa trên ứng dụng hiện đại của CNTT. Khi hệ thống CNTT của các nước bị tin tặc nắm được thì tai họa vô cùng khủng khiếp.
Tại Việt
Nam
, tội phạm CNTT liên quan đến các hoạt động kinh tế, tài chính gây hậu quả lớn hơn. Hiện nay, chúng ta chưa bị khủng bố rõ nét vào mạng CNTT quốc gia, nhưng vấn đề này vẫn được lưu tâm hàng đầu.
- Ngân hàng VietinBank đã từng gặp phải trường hợp tương tự như vậy bao giờ chưa, thưa ông? (Câuhỏi của độc giả Trần Lê Anhgửi quaemail)
Ông Nguyễn Thế Thịnh: Tôi cũng chia sẻ một số kinh nghiệm và thực tế của bản thân Vietinbank. Các lãnh đạo của chúng tôi đầu tư rất tốt về mặt bảo mật. Chúng tôi theo dõi sát sao về vấn đề này và có đội ngũ chuyên biệt để xử lý các vấn đề tấn công.
Phần lớn là trường hợp bị tấn công mạng, chúng tôi tự xử lý. Nếu vấn đề tấn công liên quan đến hình sự, chúng tôi có sự tham gia phối hợp của cơ quan chức năng, vừa rồi Vietinbank đã hợp tác với cơ quan bắt nhóm gắn camera vào box thẻ ATM nhằm chiếm đoạt tài sản.
Trung tâm ứng cứu khẩn cấp máy tính Việt
Nam
VNCERT là một đơn vị được thành lập với mục đích chính là điều phối các hoạt động ứng cứu sự cố máy tính trên toàn quốc cũng như cảnh báo an toàn mạng máy tính. Vậy, tôi muốn hỏi Tiến sĩ Vũ Quốc Khánh là lĩnh vực bảo mật an toàn hệ thống thông tin cũng như ngăn ngừa và phòng chống tội phạm công nghệ cao tại Việt Nam hiện có gặp khó khăn hay cản trở gì không, thưa ông? (Câu hỏi của độc giả Lê Quốc Dũng ở Quận 1, TP.HCM).
Tiến sĩ Vũ Quốc Khánh: Để phát triển an toàn an ninh thông tin ở Việt
Nam
, chúng ta có thuận lợi là Thủ tướng Chính phủ đã ban hành quy hoạch an toàn an ninh thông tin. Quy hoạch này liên quan đến tất cả đối tượng dùng mạng, có chiều sâu, chiều rộng và nhiều nhiệm vụ phải làm, hành lang phát triển.
Tuy nhiên, trong bối cảnh hiện nay, chúng ta vẫn có nhiều những khó khăn.
Thứ nhất, luật pháp tuy có có cải tiến nhưng vẫn thiếu đẩy đủ để có thể xử lý. Thứ hai, hạ tầng cơ sở vật chất an toàn an ninh quốc gia, từ địa phương đến doanh nghiệp. Thứ ba là nhận thức chung của người dùng cũng như của cơ sở còn thiếu, cần phải đẩy mạnh trong thời gian tới.
Chắc hẳn độc giả còn nhớ sự cố đã từng xảy ra với Ngân hàng Đông Á khi một số điểm rút tiền ATM của ngân hàng này bị gắn camera quay trộm với mục đích chiếm mật khẩu tài khoản của khách hàng. Đây được nhận định là một trong những hành vi của tội phạm công nghệ cao trong lĩnh vực tài chính, ngân hàng. Ông Nguyễn Thế Thịnh, vậy trong lĩnh vực này, tội phạm công nghệ cao còn có các hành vi nào khác?
Ông Nguyễn Thế Thịnh: Như tiến sĩ Vũ Quốc Khánh đã trao đổi, ở Việt
Nam
cũng như trên thế giới hiện nay tài chính ngân hàng là lĩnh vực nóng để tội phạm công nghệ cao khai thác.
Tội phạm thường lấy thông tin khách hàng qua giao dịch tài chính, qua ngân hàng điện tử như nhắn tin, chuyển tiền qua hệ thống điện thoại, để thực hiện hành vi trục lợi cá nhân, chuyển tiền qua tài khoản riêng và chiếm đoạt. Thứ hai, hiện nay giao dịch chứng khoán qua hình thức trực tuyến diễn ra rất nhiều cũng là nguy cơ khiến người dùng bị hacker, kẻ xấu chiếm đoạt.
Phải chăng để xảy ra tình trạng không an toàn khi giao dịch qua Internet là do cơ quan an ninh vàbảo mật hệ thống mạng chưa làm tốt công việc của mình?
Tiến sĩ Vũ Quốc Khánh: Về việc xẩy ra các sự cố về an toàn an ninh mạng, mỗi một vụ việc sẽ có một nguyên nhân cụ thể nào đó, trách nhiệm có thể từ tất cả các phía.
Về phía nhà cung cấp dịch vụ, nếu dịch vụ của họ kém an toàn, có nhiều khẽ hở để tin tặc lợi dụng thì trách nhiệm sẽ thuộc về phía họ. Các cơ quan an ninh mạng đã có nhiều nhắc nhở, đề ra hướng giải quyết đối với những nhà cung cấp dịch vụ mạng hiện nay.
Ngoài ra, rất nhiều trường hợp ng tiêu dùng không sử dụng đúng nguyên tắc an toàn thông tin, vì lợi ích nhỏ mà không theo đúng nguyên tắc an toàn, gây tổn hại về kinh tế, lúc này trách nhiệm thuộc về phía họ.
Đối với cơ quan chức năng điều tra phá án, phải nâng cao năng lực thường xuyên, phối hợp với những cơ quan khác để nhanh chóng điều tra giải quyết.
- VNCERT đã bao giờ gặp phải trường hợp nào mà tội phạm sử dụng công nghệ cao gây mất an toàn thông tin mà các chuyên gia của trung tâm phải bó tay chưa, thưa ông?
Tiến sĩ Vũ Quốc Khánh: Giống như vụ việc thông thường, có những vụ việc công nghệ cao cũng thách thức chúng ta trong việc xử lý và cũng rất khó giải quyết. Lý do là tên định danh thường là nặc danh, địa bàn hoạt động của tội phạm rộng, ảo, thời gian phạm tội nhanh nhưng lại phát hiện chậm.
Một vấn đề nữa là đòi hỏi năng lực cao trong việc xử lý, trong khi đó, chúng ta chưa hoàn toàn giỏi tuyệt đối trong vấn đề này. Mặt khác, sự phối hợp các cơ quan chức năng và người dùng là rất quan trọng và cần thiết. Vấn để là sự phối hợp này vẫn chưa được tốt giữa các cơ quan chức năng.
Ông Nguyễn Thế Thịnh, ông nghĩ sao về vấn đề này?
Ông Nguyễn Thế Thịnh: Tôi rất đồng tình với Tiến sĩ Vũ Quốc Khánh. Đứng ở góc độ một ngân hàng, tôi cho rằng vấn đề đảm bảo an toàn xuất phát từ nhiều phía, bản thân ngân hàng chúng tôi rất quan tâm đến vấn đề an toàn thông tin cho khách hàng nên đã đầu tư rất nhiều về công nghệ, đảm bảo an toàn cho khách hàng. Ngoài ra, khách hàng, người sử dụng cũng phải chủ động có nhận thức về an toàn thông tin, không vì thiếu nhận thức hoặc tham rẻ, để mắc bẫy của các tổ chức lừa đảo.
Tôi lấy một ví dụ liên quan đến hệ thống ATM ở ngân hoàng công thương. Có một khách hàng phản ánh khi kiểm tra số dư, tài khoản của khách hàng này bị tụt đi dù không hề rút tiền. Chúng tôi đã tiến hành kiểm tra mọi giao dịch của chủ thẻ đó và phát hiện chính con trai người này đã cầm thẻ ATM đi rút tiền. Về nguyên tắc, mã số cá nhân tài khoản không được cung cấp cho bất kỳ người nào khác.
Vậy ông nghĩ sao khi BKIS khẳng định 100% ngân hàng Việt
Nam
đều có lỗ hổng? Rõ ràng là nếu khẳng định đó là đúng thì VietinBank cũng là ngân hàng cần phải ứng cứu để vá các lỗ hổng?
Ông Nguyễn Thế Thịnh: Trước mắt, tôi thấy điều này rất thú vị, các khán giả có thể nhân cao nhận thức về mặt an toàn thông tin qua đánh giá của Bkis. Bkis cho rằng điểm yếu xuất hiện từ nhà cung cấp dịch vụ, 100% các ngân hàng tại VN đang tồn tại lỗ hổng.
Tuy nhiên, đây có lẽ là qua khảo sát ở khoảng 20 ngân hàng của Bkis, thông thường, nếu cơ quan bảo mật phát hiện sẽ gửi đến cảnh báo và vá lỗ hổng nhưng ngân hàng chúng tôi chưa nhận được cảnh báo của Bkis. Vietinbank có đội ngũ chuyên biệt và thuê các chuyên gia ngân hàng để đánh giá tính bảo mật của mình và nếu phát hiện chúng tôi sẽ xử lý.
Vietinbank có đội ngũ chuyên biệt và có thể thuê các chuyên gia để đánh giá tính bảo mật của mình và nếu phát hiện chúng tôi sẽ xử lý.
Đột nhập giả định vào hệ thống bảo mật của ngân hàng. Phát hiện lỗ hổng. Bảo mật cho lĩnh vực ngân hàng đang nóng lên. Ông nghĩ sao về vấn đề này?
Ông Nguyễn Thế Thịnh: Thông tin 100% ngân hàng có lỗ hổng do Bkis đưa ra tuy nhiên cũng chỉ điều tra trên 20 ngân hàng. Ngân hàng Vietinbank chúng tôi chưa nhận được thông tin Bkis về những vấn đề như vậy. Tuy nhiên, chúng tôi có đội ngũ kỹ thuật và chúng tôi sẵn sàng thuê đội ngũ chuyên viên bên ngoài để giải quyết những vấn đề, sự cố xảy ra nếu có.
Thưa Tiến sĩ Vũ Quốc Khánh, ý kiến của ông thế nào?
Tiến sĩ Vũ Quốc Khánh: Tôi cũng chia sẻ ý kiến của ông Nguyễn Thế Thịnh, thật ra không thể kết luận rằng tất cả các ngân hàng đều có lỗ hổng về bảo mật. Hệ thống ngân hàng được chia làm hai mảng mạng riêng biệt, một mạng là tác nghiệp, một mạng là mạng công khai qua website. Có thể ở một thời điểm nào, website có lỗ hổng. còn website nội bộ thì hiện nay không đơn vị nào có quyền khảo sát mọi ngân hàng cùng lúc.
Tuy nhiên, cũng phải lưu ý rằng các ngân hàng cần phải chú ý, phần lớn các ngân hàng chưa có hệ thống giám sát (monitoring), theo dõi truy cập một cách thường xuyên, quan sát các truy cập lạ, khác thường. Thứ hai là hệ thống ngân hàng cần có bộ phận theo dõi an ninh và tác nghiệp trực tiếp, quan hệ trực tiếp về mặt nghiệp vụ. Hiện nay chỉ một số ít ngân hàng có bộ phận này, còn nhiều ngân hàng chưa có và cũng là nguy cơ phát sinh các lỗ hổng.
Ngoài ra, tôi xin bổ sung thêm cho câu hỏi trước. Theo tôi, những vụ tấn công trong hệ thống ngân hàng tài chính có nguyên nhân quan trọng là người dùng, cá nhân trong tổ chức bị tấn công theo phương thức mạng xã hội, để lộ thông tin. Kết quả bất ngờ khi khảo sát thử nghiệm tại ngân hàng có hệ thống an ninh khá, có giáo dục an ninh thông tin, tung email giả mạo nội dung dưới dạng “tôi là quản trị, theo yêu cầu, nhân viên phải đổi mật khẩu, đề nghị cung cấp mật khẩu cho tôi”, thì có tới trên 10% nhân viên ngân hàng cung cấp mật khẩu. Để đảm bảo an toàn, nhân viên ngân hàng tuyệt đối không cung cấp mật khẩu, bởi đó là vi phạm nguyên tắc nghề nghiệp, phải kiểm tra kỹ trước khi cung cấp.
Tôi có đọc ở trên mạng Internet, thấy nói tới việc ở Trung Quốc xuất hiện dịch vụ sửa điểm kết quả học tập cho học sinh, sinh viên. Nếu sinh viên nào bị điểm kém, và muốn sửa điểm cho mình thì chỉ cần bỏ tiền thuê hacker đột nhập vào hệ thống của nhà trường. Mức giácho mỗi lần đột nhập phụ thuộc vào việc nâng điểm lên mức như thế nào. Tôi muốn hỏi, ở Việt
Nam
đã ghi nhận trường hợp nào như thế hay chưa? Và nếu có thì cơ quan chức năng sẽ phải xử lý thế nào? (Độc giả Nguyễn Quảng Hà, đang là sinh viên Học viện Công nghệ Bưu chính viễn thông)
Tiến sĩ Vũ Quốc Khánh: Đây là một hiện tượng thú vị. Tuy nhiên, hiện tượng này có thể hoàn toàn xảy ra. Đến thời điểm hiện tại, trung tâm của chúng tôi chưa có ghi nhận nào về sự việc tương tự. Nhưng theo tôi nghĩ, hiện tại ở Việt
Nam
có lẽ có rất ít trường quản lý điểm cho sinh viên bằng điện tử và chủ yếu lưu điểm bằng phương pháp truyền thống.
Vậy, luật pháp của chúng ta có đủ các điều luật để xử lý những loại tội phạm mới này hay chưa? Câu hỏi của độc giả Trần Văn Kiển ở Quỳnh Phụ, Thái Bình gửi tới Tiến sĩ Vũ Quốc Khánh.
Tiến sĩ Vũ Quốc Khánh: Nói về pháp luật thì hiện nay, ở nước ta cũng có nhiều văn bản, quy định thường xuyên cải thiện, nâng cấp, sửa đổi. Luật hình sự mới đây cũng có 3 điều quy định về tội phạm Công nghệ thông tin. Một số văn bản cũng có quy định hành lang pháp lý, tuy nhiên vẫn còn chung chung, có nhiều khó khăn trong việc xác định hành vi pháp lý để tố tụng hình sự.
Chống tội phạm bằng hành lang pháp lý thì pháp luật Việt Nam cần tương thích với pháp luật quốc tế, bởi vì nhiều trường hợp tội phạm nước này tấn công hệ thống an ninh nước khác, mà pháp luật hiện nay của chúng ta chỉ áp dụng được trong lãnh thổ Việt
Nam
. Trên thế giới hiện nay, các nước đã phối hợp với nhau, có nhiều khung pháp lý nước này được nước khác thừa nhận. Việt
Nam
cũng phải cân nhắc phối hợp để cùng chống tội phạm công nghệ cao trên phạm vi quốc tế.
Mạng 3G là một tiến bộ rất tốt của kĩ thuật, mở ra nhiều khả năng mới cho người dùng truy cập internet, tuy nhiên nếu mạng 3G tổ chức không hoàn toàn chặt chẽ, có thể là môi trường mới cho tin tặc. Vô tình chia sẻ tài nguyên của mình, hacker sẽ xâm nhập vô cùng dễ dàng?
Tiến sĩ Vũ Quốc Khánh: Môi trường 3G sẽ làm tăng tính nặc danh của những người truy cập mạng. Chúng ta dùng đường truy cập qua ADSL, hệ thống kĩ thuật có thể xác định người truy cập ở chỗ nào. Về mạng 3G, kĩthuật chỉ tìm được mỗi nhà cung cấp dịch vụ 3G đấy thôi. Ở đây, các nhà cung cấp dịch vụ cần kiểm soát tốt vấn đề này nhưng hiện nay họ phát triển công nghệ 3G ồ ạt do nhu cầu cạnh tranh, nên chưa biết vấn đề này họ kiểm soát ở mức độ nào.
Việc tấn công tài khoản tại các ngân hàng, hacker ở Việt Nam tấn công mạng Việt Nam hay từ nước ngoài tấn công vào mạng Việt Nam nguy hiểm hơn, thưa ông Nguyễn Thế Thịnh?
Ông Nguyễn Thế Thịnh: Theo tôi, độ nguy hiểm của các hacker dù ở nước ngoài và nước ngoài đều cao. Tuy nhiên, nếu hacker ở Việt
Nam
thì sẽ nguy hiểm hơn. Trong lĩnh vực tài chính thì không đơn giản chuyển tiền từ trong nước ra nước ngoài. Nếu hacker ở Việt Nam, họ có thể hiểu văn hóa, con người Việt Nam hơn, từ đó, tấn công về mặt quen biết, hỏi thông tin của chủ thẻ. Nếu hacker nước ngoài ở Việt
Nam
thì sẽ nguy hiểm hơn vì họ nghiêm cứu rất kỹ và đã hiểu rất kỹ mới tấn công được.
Các nghiên cứu bảo mật quốc tế cảnh báo Việt Nam là một trong những nước đứng đầu thế giới về phát tán thư rác, mã độc và gian lận click chuột quảng cáo trực tuyến. Vậy Việt
Nam
là thủ phạm hay là nạn nhân của “danh hiệu” này, thưa ông Vũ Quốc Khánh?
Tiến sĩ Vũ Quốc Khánh: Hệ thống email ở Việt Nam hiện nay được xây dựng không đảm bảo, đa số sử dụng mã nguồn mở để xây dựng mà không cải tiến về bảo mật, hoặc cài đặt trên hệ thống bảo mật kém, server hosting chia sẻ với nhiều trang web khác, dẫn đến tấn công chéo. Ngoài ra, văn hóa sử dụng mạng, ngăn chặn thư rác, chống cài mã độc, khả năng lọc mã độc tương đối kém, dẫn đến lây nhiễm mã độc. Mã độc là thủ phạm tung nguồn thứ cấp tung, phát tán thư rác.
Vô hình trung, sự yếu kém khiến chúng ta là nạn nhân. Cũng phải kể đến trường hợp người Việt Nam lợi dụng hệ thống thư điện tử, người Việt Nam gửi từ hệ thống thư Việt
Nam
. Tuy nhiên, lượng thư rác có nguồn gốc Việt Nam, do người Việt
Nam
gửi bằng tiếng Việt là không nhiều. Tức là chúng ta là nạn nhân hơn là thủ phạm.
Tuy nhiên, không thể rũ bỏ trách nhiệm là chúng ta xây dựng hệ thống yếu kém. Nhiệm vụ của chúng ta là phải xây dựng hệ thống sạch, chống lây nhiễm.
Thưa ông Nguyễn Thế Thịnh, với riêng lĩnh vực ngân hàng - một lĩnh vực liên quan đến rất nhiều người thì theo ông, đâu là giải pháp hiệu quả nhất để phòng chống tội phạm công nghệ cao?
Ông Nguyễn Thế Thịnh: Theo tôi, việc đầu tiên là chúng ta cần có là một hành lang pháp lý. Chính phủ đã có những hành lang này rồi. Tuy nhiên, tôi nghĩ, việc phòng chống tội phạm công nghệ cao cần có thời gian, không thể giải quyết một sớm một chiều được. Hiện tại, các dịch vụ cho ngân hàng đang bùng nổ. Yếu tố con người quan trọng để phòng chống tội phạm cao này. Xây dựng đội ngũ cán bộ, đào tạo nâng cao nhận thức khách hàng và cán bộ, áp dụng chữ ký điện tử cho giao dịch, đảm bảo an toàn bên trong nội bộ. Tấn công trong nội bộ nguy hiểm hơn nhiều vì họ am hiểu hơn nhiều so với các tội phạm từ bên ngoài.
Hiện nay IP ở Việt Nam, hiện tượng IP trùng nhau là việc không phải hiếm. Vậy nếu một IP có thực hiện hack, làm ảnh hưởng đến các IP khác thì sẽ phải điều tra ra sao?
Tiến sĩ Vũ Quốc Khánh: Các địa chỉ IP tĩnh không trùng nhau, còn địa chỉ IP động không trùng nhau vào cùng một thời điểm. Việc phát hiện và điều tra có thể dựa trên IP nhưng đó không phải cơ sở duy nhất. Có nhiều yếu tố đặc điểm khác để quyết định chống lại hành vi phạm tội. Do đó, người dùng IP động cũng không lo ngại lắm về việc IP của mình trùng với tội phạm khác.
Việc tiến hành Điều tra IP động khó khăn hơn rất nhiều so với trên IP tĩnh.
Hiện nay IP ở Việt Nam, hiện tượng IP trùng nhau là việc không phải hiếm. Vậy nếu một IP có thực hiện hack, làm ảnh hưởng đến các IP khác thì sẽ phải điều tra ra sao?
Tiến sĩ Vũ Quốc Khánh: Các địa chỉ IP tĩnh không trùng nhau, còn địa chỉ IP động không trùng nhau vào cùng một thời điểm. Việc phát hiện và điều tra có thể dựa trên IP nhưng đó không phải cơ sở duy nhất. Có nhiều yếu tố đặc điểm khác để quyết định chống lại hành vi phạm tội. Do đó, người dùng IP động cũng không lo ngại lắm về việc IP của mình trùng với tội phạm khác. Việc tiến hành điều tra IP động khó khăn hơn rất nhiều so với trên IP tĩnh | 
Việt Nam xếp hạng 6 về môi trường Internet nguy hiểm 
